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The invention relates to a method and a device for dynamically controlling access, e.g. a 
session manager. In said method and device, the logon of at least one client is registered, at 
least one IP address is allocated to said client and access to the IP address is withdrawn from 
said client(s) once a predeterminable time period has elapsed and/or based on a 
predeterminable condition. 
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If) (57) Abstract: The invention relates to a method and a device for dynamically controlling access, e.g. a session manager.. In said 
£1 method and device, the logon of at least one client is registered, at least one IP address is allocated to said client and access to the IP 
5^ address is withdrawn from said client(s) once a predeterminable time period has elapsed and/or based on a predeterminable condition. 



(57) Zusammenfassung: Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zur dynamischen Zugriffskontrolle, 
wie z.B. einen Session Manager, bei denen die Anmeldung mindestens eines Clients registriert wird, dem Client mindestens eine 
IP-Adresse zugeteilt wird und nach Ablauf eines vorbestimmbaren Zeitraums und/oder in Abhangigkeit einer vorbestimmbaren Be- 
dingung dem mindestens einem Client der Zugang zur IP-Adresse entzogen wird. 



WO 01/82549 A2 



LK, LR, LS, LT, LU, LV, MA, MD, MG, MK, MN, MW, 
MX, MZ, NO, NZ, PL, PT, RO, RU, SD, SE, SG, SI SK 
SL, TJ, TM, TR, TT, TZ, UA, UG, US, UZ, VN, YU,' ZA 
ZW. 

(84) Bestimmungsstaaten (regional)'. ARIPO-Patent (GH, 
GM, KE, LS, MW, MZ, SD, SL, SZ, TZ, UG, ZW)| 
eurasisches Patent (AM, AZ, BY, KG, KZ, MD, RU, Tj! 
TM), europaisches Patent (AT, BE, CH, CY, DE DK 
ES, FI, FR, GB, GR, IE, IT, LU, MC, NL, PT, SE, TR)' 
OAPI-Patent (BF, B J, CF, CG, CI, CM, GA, GN, GW, ML, 
MR, NE, SN, TD, TG). 



Verdffentiicht: 

— ohm Internationale n Recherchenbericht und erneut zu 
verqffentlichen nach Erhalt des Berichts 

Zur Erklarung der Zweibuchstaben-Codes, und der anderen 
Abkurzungen wird auf die Erklarungen ("Guidance Notes on 
Codes and Abbreviations") am Anfangjeder reguldren Ausgabe 
der PCT-Gazette verwiesen. 



WO 01/82549 



1 



PCT/EP01/04524 



Verfahren und Vorrichtung zur dvnamischen Zugriffskontrolle von 

Internetdiensten 

5 Beschreibung 

Die Erfindung befasst sich mit einem Verfahren und einer Vorrichtung zur dynamischen 
Zugriffskontrolle von Internetdiensten. 

10 Bisher findet die Abrechnung von Internetdiensdeistungen wie in Flgur 9 schematised 
dargestellt statt. Ein erster Client CI und ein zweiter Client C2, die hinter einer 
gemeinsamen Firewall FW liegen, treten mit einem Content Server S in Kontakt. Es sind 
vier Schichten des OSI-Referenzmodells dargestellt. In der Sicherungsschicht A, die der 
Schicht 2 des OSI-Referenzmodells entspricht, besteht keine Verbindung zwischen den 

15 Clients CI, C2 und Content Server S. Der Schicht 3 im OSI-Referenzmodell entspricht 
die Netzwerkschicht B, der Schicht 4 die Transportschicht C und der Schicht 7 die 
Anwendungsschicht D. In der Netzwerkschicht B besteht nur eine einzige Verbindung 1 
zwischen der Firewall FW und dem Content Server S. Dagegen besteht in den beiden 
oberen Schichten C, D jeweils eine Vebindung 2a, 2b und 3a, 3b zwischen den einzelnen 

20 Clients CI, C2 und dem Content Server S. Die Bezahlung erfolgt indirekt. Dazu wird 
beispielsweise beim Verbindungsaufbau zwischen dem ersten Client CI und dem Content 
Server S auf Anfrage die Kreditkartennummer des ersten Client CI mitgeteilt. Dieser 
weist einen ersten Payment Server PS fiber eine Verbindung 4 an, die Zahlung 
vorzunehmen. Die Abrechnung erfolgt uber dan ersten Payment Server PS, hier ein 

25 Kreditkarteninstitut des ersten Clients CI. Dieses steht jedoch nicht in Verbindung mit 
dem Content Server S. Eine Vorabbezahlung der Dienste des Content Servers S durch 
den ersten Client CI erfolgt nicht, sondern ihm wird nach Abschluss der Session sein 
Kreditkartenkonto belastet. Eine andere Moglichkeit ist es, die Bezahlung fiber die 
Telefonrechnung, wie bspw. fur den zweiten Client C2 gezeigt, vorzunehmen. Der 

30 zweite Client C2 steht dazu mit einem zweiten Payment Server PS fiber eine Verbindung 
5 in Kontakt. Dabei kann es jedoch Probleme fur den Betreiber des Content Server S 
geben, wenn der zweite Client C2 die Kosten fur die Session nicht bezahlen mochte. 

Die Aufgabe der Erfindung ist es, ein Verfahren und eine Vorrichtung zur Verfugung zu 
35 stellen, die eine Fakturierung von Internetdiensten ermoglicht, nachdem eine Bezahlung 
des Client an den Betreiber eines Content Servers erfolgt ist. 
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Diese Atifgabe wird durch ein Verfahren zur dynamischen Zugriffskontrolle gemaB 
Anspruch 1 geldst, bei dem die Anmeldung mindestens eines Clients auf einem 
Datenverarbeitungssystem, wie z.B. einem Content Server oder einem Session Manager 
registriert wird, dem Client mindestens eine IP-Adresse zugeteilt wird, und nach Ablauf 
eines vorbestimmbaren Zeitraums und/oder in Abhangigkeit einer vorbestimmbaren 
Bedingung dem mindestens einem Client der Zugang zur IP-Adresse entzogen wird. 

Vorteilhafte Weiterbildungen sind Gegenstand der Unteranspruche. Vprteilhafterweise 
umfaBt das erfindungsgemaBe Verfahren die folgenden weiteren Schritte: Absenden eines 
Verbindungsaufbauwunsches eines Client aus einem z.B. Intemetprotokoll-basierten 
Kommunikationsnetz, Entgegennahme des Verbindungsaufbauwunsches durch einen 
Session Manager, und Anbieten eines Zahlungsmittels durch den Session Manager an den 
CUent zur Abwicklung durch einen Payment Server. Dabei erfaBt das erfindungsgemaBe 
Verfahren vorteilhafterweise weiterhin den Schritt der Ubermittlung einer Weisung des 
Session Manager an einen Access Rooter Manager, eine dynamische Konfiguration eines 
Datenpfades oder Zugangsrechtes auf einem den Datenpfad kontrollierenden Access 
Rooter aufzubauen, der den Zugang des Client zu einem Content Server ermdglicht. 
Dabei umfaBt das erfindungsgemaBe Verfahren vorteilhafterweise weiterhin den Schritt 
der Ubertragung der offentlichen IP-Adresse des Content Server auf IP-Adressen zur 
Verwaltung durch den Access Rooter. Vorteilhafterweise umfaBt das erfindungsgemaBe 
Verfahren weiterhin den Schritt der automatischen Aktivierung einer Umleitung und des 
damit verbundenen Datenpfades am Anfang einer Session, so daB der Client durch den 
Access Rooter auf den Content Server zugreifen kann. Vorteilhafterweise umfaBt das 
erfindungsgemaBe Verfahren weiterhin den Schritt der Abbildung der Domain- 
Komponente eines Content Server URLs durch den Session Manager auf die fur die 
Umleitung reservierte IP-Adresse des stellvertretenden Access Rooter. Vorteilhafterweise 
umfaBt das erfindungsgemaBe Verfahren weiterhin den Schritt der Aufrechterhaltung der 
Umleitung und des damit verbundenen Datenpfades wahrend der Laufzeit einer Session, 
so daB der Client durch den Access Rooter auf den Content Server zugreifen kann, 
solange ein autorisiertes und gedecktes Budget fur ein Ereignis, eine Zeit- und/oder eine 
Volumeneinheit existiert. Vorteilhafterweise umfaBt das erfindungsgemaBe Verfahren 
weiterhin den Schritt der automatischen Deaktivierung der Umleitung und des damit 
verbundenen Datenpfades am Ende der Session, so daB der CUent nicht weiter durch den 
Access Rooter auf den Content Server zugreifen kann. Vorteilhafterweise fragt der 
Session Manager vor Beendigung der Verbindung den Client, ob er die Session 
verlangern mochte, und fordert ihn auf, dafur zu bezahlen. Vorteilhafterweise verlangert 
dabei der Session Manager die Session, ohne die Umleitung zum Content Server zu 
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andern und halt damit den Datenpfad durch den Access Rooter of fen, falls der Client die 
Verlangerung bezahlt hat. Vorteilhafterweise werden zur Bezahlung vorausbezahlte 
Geldinstmmente wie Geldkarte oder Calling Card verwendet. Vorteilhafterweise ist 
zwischen dem Access Rooter und dem Content Server ein Server Proxy angeordnet, der 
5 mehrere Ethernet-Karten aufweist. 

Die vorliegende Erfindung betrifft weiterhin eine Computersoftware zur dynamischen 
Zugriffskontrolle, die wenn sie in einem oder mehreren Speichern von 
Datenverarbeitungseinrichtungen eines Kommunikationsnetzes gespeichert ist, dazu 
10 ausgelegt ist, die oben erwahnten Schritte des erfindungsgemaBen Verfahrens 
durchzufuhren. 

Die obige Aufgabe wird weiterhin durch eine Vorrichtung zur dynamischen 
Zugriffskontrolle, insbesondere einen Session Manager, gemaB Anspruch 14, fur 

15 mindestens einen Client eines Datenverarbeitungssystems gelost, mit einer Einrichtung 
zur Vergabe mindestens einer IP-Adresse fur den mindestens einen Client in 
Abhangigkeit eines vorbestimmbaren Zeitraums und/oder in Abhangigkeit einer 
vorbestimmbaren Bedingung, insbesondere eines Befehls oder eines e-mails. 
Vorteilhafterweise umfafit die erfindungsgemaBe Vorrichtung eine Einrichtung zur 

20 Entgegehnahme eines durch einen Client aus einem z.B. Internetprotokoll basierten 
Kommunikationsnetz abgesendeten Verbindungsaufbauwunsches, und eine Einrichtung 
zum Anbieten eines Zahlungsmittels an den Client zur Abwicklung durch einen Payment 
Server. Vorteilhafterweise umfafit die erfindungsgemaBe Vorrichtung weiterhin eine 
Einrichtung zur Bereitstellung und Ubermittlung einer Weisung an einen Access Rooter 

25 Manager, eine dynamische Konfiguration eines Datenpfades oder Zugangsrechts auf 
einem den Datenpfad kontrollierenden Access Rooter aufzubauen, der den Zugang des 
Client zu einem Content Server ermoglicht. Vorteilhafterweise umfaBt die 
erfindungsgemaBe Vorrichtung eine Einrichtung zur Ubertragung der offentlichen 
IP-Adresse des Content Server auf IP-Adressen zur Verwaltung durch den Access 

30 Rooter. Die erfindungsgemaBe Vorrichtung umfafit weiterhin vorteilhafterweise eine 
Einrichtung zur automatischen Aktivierung einer Umleitung und des damit verbundenen 
Datenpfades am Anfang einer Session, so daB der Client durch den Access Rooter auf 
den Content Server zugreifen kann. Vorteilhafterweise umfaBt die erfindungsgemaBe 
Vorrichtung weiterhin eine Einrichtung zur Abbildung der Domain-Komponente eines 

35 Content Server URLs auf die fur die Umleitung reservierte IP-Adresse des 
stellvertretenden Access Rooter. 
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Vorteilhafterweise umfaBt die erfindungsgemafie Vorrichtung weiterhin eine Einrichtung 
zur Aufrechterhaltung der Umleitung und des damit verbundenen Datenpfades wahrend 
der Laufzeit einer Session, so dafi der Client durch den Access Rooter auf den Content 
Server zugreifen kann, solange ein autorisiertes und gedecktes Budget fur ein Ereignis, 
5 eine Zeit- und/oder eine Volumeneinheit existiert. 

Vorteilhafterweise umfaBt die erfindungsgemafie Vorrichtung weiterhin eine Einrichtung 
zur automatischen Deaktivierung der Umleitung und des damit verbundenen Datenpfades 
am Ende der Session, so daB der Client nicht weiter durch den Access Rooter auf den 

10 Content Server zugreifen kann. Weiterhin vorteilhafterweise umfaBt die erfindungs- 
gemaBe Vorrichtung eine Einrichtung zum Anfragen beim Client vor Beendigung der 
Verbindung, ob er die Session verlangern mochte und zum Auffordern, dafur zu 
bezahlen. Vorteilhafterweise umfaBt die erfindungsgemaBe Vorrichtung weiterhin eine 
Einrichtung zur Verlangerung der Session, ohne die Umleitung zum Content Server zu 

15 andern und damit zum Offenhalten des Datenpfades durch den Access Rooter, falls der 
Client die Verlangerung bezahlt hat. 

GemaB der vorliegenden Erfindung werden aus einem Pool jeweils andere IP-Adressen 
jedem erkannten individuellen Zugriff zugeteilt, der Zugriff auf jeweils dieselben 
20 geschutzten Inhalte geschieht uber per Session selektiv freigeschaltete IP-Adressen. Der 
Verkehr uber die individual vergebenen Adressen kann nach beliebigen Kriterien 
uberwacht werden, unter anderem nach bezahlten Datenmengen, Zeitscheiben und 
sonstigen Ereignissen. Die An- und Abschaltung der Adressen geschieht uber eine 
Firewall, deren Regelwerk nach Bedarf dynamisch verandert wird. 

25 

Einsatzgebiete: 

Faktura kostenpflichtiger Produkte und Dienste im Internet 
30 Vorausbezahlte Oder noch zu zahlende Nutzung von Produkten und Diensten 
Nutzungsverwaltung (=Sessionmanager) von Produkten und Diensten 
Zeit-, volumen- und ereignisorientierte Faktura von Produkten und Diensten 

35 

Aggregierung von IP basierten Verbindungen zu Sichten auf Produkte und Dienste 
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Micropaymentsystem 
Vorteile der Erfindung: 
5 Unabhangigkeit von Leitungsanbietern, 
beliebige Kontrollkriterien 

Unabhangigkeit von den technischen Fahigkeiten der Konsumenten(rechner) 

10 

Losung rein auf Anbieterseite hinter der schutzenden Firewall 
Benutzung erprobter und verbreiteter Protokolle und Komponenten: TCP-IP 
15 Firewall, Linux 

Individuelle Nutzer hinter Proxy-Servern werden erkannt 

Unabhangigkeit von den angebotenen Diensttypen (Bilder, Audiodaten, etc.), 

20 

kein Eingriff in Applikationsprotokolle 

Weitere Vorteile und Einzelheiten der Erfindung werden anhand der Beschreibung eines 
Ausfuhrungsbeispiels zu folgenden Zeichnungen ausgefuhrt. Es zeigen: 

25 

Figur 1 Ein FluBdiagramm betreffend die Funktion des Session Managers der 

erfindungsgemaBen Zugriffskontrolle, 

Figur 2 ein Diagramm, das die einzelnen Zustande einer Session, die durch einen 

30 Session Manager gesteuert wird, zeigt, 

Figur 3 eine schematische Darstellung eines Systems in einem Zustand, in dem 

zwischen Client und Content Server keine Verbindung besteht, 

35 Figur 4 einen Zustand des Systems aus Figur 2, in dem eine Authorisierung des 
Client von einem Session Manager uberpruft wird, 
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einen Zustand des Systems der Figuren 2 und 3, in dem zwischen dem 
Client und Content Server eine Verbindung besteht, 

einen Zustand des Systems der Figuren 2 bis 4, in dem zusatzlich eine 
Verbindung zwischen dem Content Server und einem weiteren Client 
aufgebaut wird, 

einen Zustand des Systems der Figuren 2 bis 5, in dem der Content Server 
in einem Wait-Status ist, wobei kein Datentransfer vom Content Server zu 
einem der Clients moglich ist, 

einen Zustand des Systems der Figuren 2 bis 6, in dem eine 
Authorisierung eines der Clients erfolgt, nachdem dieser einen ersten 
Expire erhalten hat, und 

eine schematische Darstellung eines bisher verwendeten Bezahlungs- 
verfahrens. 

Der Ablauf des erfindungsgemaBen Verfahrens zur zeit-, volumen- und/oder 
20 ereignisorientierten Fakturierung von Internetdiensten wird schrittweise anhand der 
Zustande der Session in den Figuren 3 bis 8 in Verbindung mit den Diagrammen der 
Figuren 1 und 2 beschrieben. 

Figur 1 zeigt ein FluBdiagramm der im Session Manager ablaufenden 
25 erfindungsgemaBen Verfahrensschritte, die beispielsweise durch ein entsprechendes 
Computerprogramm abgearbeitet werden. Das Session Manager Programm befindet sich 
nach zwei Initialisierungsschritten, SI und S2 in einer Endlosschleife und ist immer 
bereit, zufallig auftretende Anfragen von auflen, d.h. von Clients, zu bedienen. Eine 
Anfrage von aufien tritt entweder erstmalig auf oder wird verlangert. Eine Verlangerung 
30 wird in Schritt S4 abgearbeitet. Ansonsten muB in Schritt S5, an der Rezeption, die 
vollstandige Information beschafft werden. Wird die Session nur verlangert, so wird 
direkt zu Schritt Sll iibergegangen. Ansonsten mussen fiber mehrere Schritte die 
Ressourcen fur die Session bereitgestellt werden. Ab Schritt S12 wird die Session 
abgebaut. 

35 

Der vollstandige Programm- bzw. Verfahrensablauf ist wie folgt. Im Schritt SI erfolgt 
der Start, d.h. eine Content-IP-Adresse wird aufgenommen. Danach wird zu Schritt S2 



Figur 5 
Figur 6 

5 

Figur 7 

10 

Figur 8 

15 

Figur 9 
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ubergegangen, in dem der Access Manager autorisiert wird. Danach wird zu Schritt S3 
ubergegangen, in dem entschieden wird, ob eine Access Manager Client Information 
vorliegt. Wenn ja, wird zu Schritt S4 ubergegangen, in dem die Information, 
d.h. Client-IP- Autorisierung, in der Clientliste erganzt wird. Danach wird zu Schritt S5 

5 ubergegangen. 1st die Entscheidung im Schritt S3 negativ, wird ebenfalls zu Schritt S5 
ubergegangen. Im Schritt S5 wird entschieden, ob eine Anfrage mit einer Client-IP- 
Adresse empfangen (Rezeptionanfrage) wurde. Wenn ja, wird zu Schritt S6 
ubergegangen, wenn nein, wird zu Schritt S 12 ubergegangen. Im Schritt S6 wird 
beurteilt, ob eine Session (Client-IP- Adresse, Content-IP- Adresse) besteht. Wenn ja, 

10 wird zu Schritt Sll ubergegangen, wenn nein wird zu Schritt S7 ubergegangen. Im 
Schritt S7 wird uberpruft, ob der Client in der Clientliste autorisiert ist. Wenn ja, wird 
zu Schritt S8 ubergegangen, wenn nein, wird zu Schritt S12 ubergegangen. Im Schritt S8 
wird eine freie IP- Adresse aus den verfugbaren IP-Adressen ausgewahlt. Danach wird zu 
Schritt S9 ubergegangen, in dem eine Content-IP-Adresse dem Empfang mitgeteilt wird. 

15 Danach wird zu Schritt S10 ubergegangen, in dem ein Filter angewiesen wird, die IP- 
Adresse zu offhen. Danach wird zu Schritt Sll ubergegangen, in dem der Access 
Manager zur Kontrolle der Verbindungsregeln des IP-Parchens angewiesen wird. Danach 
wird zu Schritt S12 ubergegangen. Im Schritt S 12 wird uberpruft, ob dem Access 
Manager eine "close"- An weisung vorliegt, wenn ja, wird zu Schritt S13 ubergegangen, 

20 wenn nein, wird zu Schritt S3 zuruckgegangen. Im Schritt S13 wird der Filter 
angewiesen, die IP- Adresse zu sperreh. Danach wird zu Schritt S14 ubergegangen. In 
Schritt S14 wird die IP- Adresse wieder freigegeberi und das Verfahren geht zuruck zu 
Schritt S3. 

25 In Figur 3 ist der Free-Zustand I (Figur 2) des Content Servers S gezeigt. Es sind dabei 
die vier Schichten A-D des OSI-Referenzmodells gezeigt, die bei der Diskussion des 
Standes der Technik (Figur 9) schon beschrieben wurden. In der Netzwerkschicht B sind 
die IP-Adressen angelegt. In der daruber dargestellten Transportschicht C werden zwei 
verschiedene Ubertragungsprotokolle verwendet. Zum einen das Transmission Control 

30 Protocol (TCP) und das User Datagram Protocol (UDP). In der Anwendungsschicht D 
wird eine Vielzahl von Protokollen verwendet, wobei die haufigsten das Hypertext 
Transport Protocol (HTTP) und das File Transfer Protocol (FTP) verwenden. Ein erster 
und ein zweiter Client CI, C2, mehrere Konsumenten aus einem einzigen Intranet, sind 
hinter einer Firewall FW verborgen und haben jeweils eine Verbindung 6a, 6b zu ihr. 

35 Der zweite Client C2 versucht uber einen ersten Link 7a durch die Firewall FW einen 
Content Server S zu erreichen. Er gelangt jedoch nur zu einem Access Router AR, hinter 
dem der Content Server S verborgen ist. Zwischen dem Access Router AR und dem 
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Content Server S ist ein Server Proxy SP angeordnet, in dem mehrere Ethernet-Karten 
enthalten sind. Diese nehmen stellvertretend fur den Content Server S 
Verbindungsaufbauwiinsche entgegen. Der Content Server S ist nicht direkt erreichbar. 
Diese Mafinahme schutzt den Inhalt vor unauthorisierten Zugriffen sowie den Content 
Server S vor unerfahrenem Personal. Der Access Router AR wird von einem Access 
Router Manager ARM gesteuert. Dieser erhalt seine Weisungen von einem mit ihm 
verbundenen Session Manager SM. Der Session Manager SM ist mit einem Payment 
Server PS verbunden. Der erste Link 7a ist ein Verbindungsaufbauwunsch 
(vgl. Figur 1), der vom Session Manager SM entgegengenommen wird. Dies entspricht 
einer Get-Anfrage II in Figur 2. In der Netzwerkschicht B besteht zwischen der Firewall 
FW und dem Session Manager SM genau eine Verbindung 8. 

Der Content Server S geht dann von seinem Free-Zustand I (Figur 2) in seinen Wait- 
Zustand III (Figur 2) fiber, wahrend zwischen dem Session Manager SM und dem 
zweiten Client C2 eine Authorisierungsverbindung 9a in der Transportschicht C und der 
Anwendungsschicht D aufgebaut wird (vgl. Figur 1). Dies ist in Figur 4 dargestellt, 
wobei der Session Manager SM eine Uberprufung der Authorisierung der Bezahlung 
fiber den Payment Server PS vomimmt. Dazu baut er eine Verbindung 10 in den 
Schichten B, C, D mit dem Payment Server PS auf. Beispielsweise kann es sich bei der 
Bezahlung um eine GeldKarte, eine Calling Card, eine Kreditkarte Oder 
Rechnungsstellung fiber die Telefon- oder Energierechnung sowie ein Bankkonto 
handeln. Zwischen Session Manager SM und Access Router Manager ARM wird eine 
Verbindung 12 aufgebaut, fiber die der Session Manager SM dem Access Router 
Manager ARM Weisungen hinsichtlich der Steuerung des Access Router AR geben kann. 

Sobald der Pay-Vorgang IV (Figur 2) durch den Session Manager SM festgestellt wurde, 
geht der Content Server S in einen Busy-Zustand V (Figur 2) fiber. Dies ist in Figur 5 
dargestellt. Die Authorisierungsverbindung 9a, 10 (Figur 4) besteht zu diesem Zeitpunkt 
schon nicht mehr, da diese nur zur Uberprfifung benotigt wird, ob der zweite Client C2 
fur den Zugriff auf den Content Server S bezahlt hat. Der Session Manager SM hat den 
Access Router Manager ARM fiber die Verbindung 12 angewiesen, eine dynamische 
Konfiguration eines Datenpfades 13 auf dem Access Router AR aufzubauen. Somit wird 
dem zweiten Client C2 der Zugang zum Content Server S ermoglicht. Dies geschieht 
durch eine Ubertragung der offentlichen IP-Adresse des Content Server S auf IP- 
Adressen zur Verwaltung durch den Access Router AR sowie eine automtische 
Aktivierung einer Umleitung 14 und des damit verbundenen Datenpfades 13 am Anfang 
der Session. Dabei ffihrt der Datenpfad 13 in der Netzwerkschicht B fiber eine Umleitung 
14, wobei ein zweiter Link 7b zwischen der IP-Adresse zur Verwaltung der Session 
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durch den Access Router AR und dem Server Proxy SP, sowie ein dritter Link 7c 
zwischen dem Server Proxy SP und der nicht-offentlichen IP-Adresse des Content Server 
S aufgebaut wird. AuJJerdem ist eine Verbindung 15 zwischen zweitem Client C2 und 
Content Server S uber deri Server Proxy SP in der Transportschicht C und in der 
5 Anwendungsschicht D erfolgt. Uber die Verbindungen 13, 15 lauft der Datentransfer 
wahrend der Session ab. 

In einer vorab bestimmbaren Zeit vor Ablauf der Session, beispielsweise 60 Sekunden, 
erfolgt vom Session Manager SM eine Pay-Nachfrage VI (Figur 2) an den zweiten Client 

10 C2. Der zweite Client C2 hat dann die Moglichkeit, die Session zu verlangern. Erteilt er 
einen Auftrag zur Verlangerung, so uberpruft der Session Manager SM uber die 
Verbindung 10 mit dem Payment Server PS, ob eine Authorisierung vorliegt. Dabei 
muss jedoch nicht zwingend das gleiche Zahlungsinstrument wie beim ersten Bezahlen 
der Session verwendet werden. Es ist jedes andere, vom Payment Server PS angebotene 

15 Pay mentsy stem verwendbar. Nach einer Verlangerung der Session bleibt der Content 
Server S so lange im Busy-Zustand V (Figur 2), bis diese Session auslauft, ohne durch 
ein weiteres Nachzahlen des zweiten Clients C2 verlangert zu werden. 

In Figur 6 wird gezeigt, wie ein zusatzliche Verbindung zwischen dem ersten Client CI 
20 und dem Content Server S ablauft, wobei gleichzeitig noch die Verbindung des zweiten 
Client C2 aktiv ist. Prinzipiell erfolgt der Verbindungsaufbau wie derjenige des zweiten 
Client *C2 mit dem Content Server S (siehe Figuren 3 und 4). Per 
Verbindungsaufbauwunsch wurde uber die Verbindung 8 dem Session Manager SM 
bekannt gemacht. Danach wurde eine Authorisierungs verbindung 9b aufgebaut. Die 
25 Authorisierung erfolgt hier ebenfalls uber die Verbindung 10 mit dem Payment Server 
PS, der ein zweites Paymentsystem zur Verfugung stellt. Ist die Authorisierung 
erfolgreich abgeschlossen, so wird ein zweiter Datenpfad 17 in der Transportschicht B 
uber den Access Router AR und den Server Proxy SP zum Content Server S aufgebaut. 
Der Aufbau der Verbindung 18 in den beiden Schichten C, D erfolgt wie oben 
30 beschrieben beim zweiten Client C2. Das Ergebnis ist in Figur 7 dargestellt. Die zur 
Uberpriifiing der Authorisierung benotigten Verbindungen 9b, 10 werden sofort wieder 
abgebaut. 

Verlangert der zweite Client C2 die Session nicht, so kommt es zu einem ersten Expire 
35 VII (Figur 2) und der Content Server S geht in seinen in Figur 7 dargestellten Wait- 
Zustand m (Figur 2) uber. Dabei bleibt der erste Link 7a, der jedoch jetzt nur noch Teil 
des zweiten Datenpfades 17 ist, von der Firewall FW zum Access Router AR aktiv. 
Jedoch wird der zweite und dritte Link 7b, 7c zwischen Access Router AR und Server 
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Proxy SP bzw. zwischen Server Proxy SP und Content Server S fallengelassen, was 
durch die Gitterstruktur der fallengelassenen Links 7b, 7c zum Ausdruck gebracht 
werden soil. AuBerdem findet ein Timeout der Verbindungen 15 in der Transportschicht 
C und in der Anwendungsschicht D statt, was durch die Gitterstruktur dargestellt ist. Die 
5 Verbindung 8 zwischen Firewall FW und Session Manager SM bleibt weiterhin 
bestehen. Die Daten der fallengelassenen Links 7b, 7c werden wahrend dieser Zeit vom 
Session Manager SM gespeichert. 

Falls der zweite Client C2 einen Pay-Vorgang IV (Figur 2) wahrend dieses Zustandes 
10 vornimmt, nimmt der Session Manager SM wieder die oben beschriebene 
Zahlungsauthorisierung vor. Dies ist in Figur 8 dargestellt. Wenn die Zahlung 
authorisiert ist, gibt er dem Access Router Manager ARM die Weisung, den 
ursprunglichen Pifad 13 fiber die Umleitung 14 im Access Router AR wieder zu 
installieren. Dadurch wird die Verbindung zwischen zweitem Client C2 und Content 
15 Server S wieder in den Busy-Zustand V (Figur 2), wie wahrend der vorangehenden 
Session (Figur 5), zuruckversetzt. Der Datenaustausch kann dann weitergehen. 

Falls nach einer gewissen, vorab bestimmbaren Zeit kein Pay-Vorgang IV (Figur 2) 
erfolgt, loscht der Session Manager SM die Daten fur die fallengelassenen Links 7b, 7c 
20 zwischen Content Server S und Access Router AR fur die vorangehende Session 
zwischen zweiten Client C2 und Content Server S. Dies entspricht dem zweiten Expire 
Vin in Figur 2. Liegt dieser Fall fur beide Sessions vor, sowohl des ersten Client CI als 
auch des zeiten Client C2, ist der Free-Zustand I (Figur 2) des Content Server S wieder 
erreicht Somit ergibt sich die Ausgangssituation der Figur 2. 

25 

Prinzipiell ist es auch moglich, dass noch mehr Sessions gleichzeitig ablaufen. Hierbei ist 
es unerheblich, ob die Clients aus einem einzigen Intranet stammen, wie oben 
beschrieben, oder aus verschiedenen Intranets bzw. einzelnen User sind. Der Session 
Manager weist den Access Router Manager fur jeden einzelnen Client an, einen eigenen 
30 Datenpfad durch den Access Router zu installieren. AuBerdem ist es auch moglich, dass 
fur einen Client gleichzeitig mehrere Sessions laufen. Dabei wird prinzipiell so 
verfahren, wie beim Aufbau von Sessions durch verschiedene Clients. Zwischen dem 
Client und dem Session Manager werden dann kurzfristig so viele Verbindungen 
aufgebaut, wie Authorisierungen fur Sessions vorzunehmen sind. 
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Patentanspruche 

1. Verfahren zur dynamischen Zugriffskontrolle, bei dem die Anmeldung mindestens 
eines Clients auf einem Datenverarbeitungssystem, wie z.B. einem Content Server oder 
5 einem Session Manager, registriert wird, dem Client mindestens eine IP-Adresse 
zugeteilt wird, und nach Ablauf eines vdrbestimmbaren Zeitraums und/oder in 
Abhangigkeit einer vorbestimmbaren Bedingung dem mindestens einen Client der 
Zugang zur IP-Adresse entzogen wird, 

10 2. Verfahren gemaB Anspruch 1 , 
gekennzeichnet durch die Schritte 

Absenden eines Verbindungsaufbauwunsches eines Client (CI, C2) aus einem z.B. 
Internet Protocol basierten Kommunikationsnetz; 

Entgegennahme des Verbindungsaufbauwunsches durch einen Session Manager (SM); 
15 Anbieten eines Zahlungsmittels durch den Session Manager (SM) an den Client (Gl, 
C2), zur Abwicklung durch einen Payment Server (PS). 

3. Verfahren gemaB Anspruch 2, 
gekennzeichnet durch den Schritt 
20 Weisung des Session Manager (SM) an einen Access Router Manager (ARM) eine 
dynamische Konfiguration eines Datenpfades (13) oder Zugangsrechts auf einem den 
Datenpfad (13) kontrollierenden Access Router (AR) aufzubauen, der den Zugang des 
Client (CI, C2) zu einem Content Server (S) ermoglicht. 

25 4. Verfahren gemaB Anspruch 3, 
gekennzeichnet durch den Schritt 

Ubertragung der offentlichen IP-Addresse des Content Server (S) auf IP-Adressen zur 
Verwaltung durch den Access Router (AR). 

30 5. Verfahren gemaB Anspruch 4, 
gekennzeichnet durch den Schritt 
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Automatische Aktivierung einer Umleitung (11) und des damit verbundenen Datenpfades 
(13) am Anfang einer Session, so dass der Client (CI, C2) durch den Access Router 
(AR) auf den Content Server (S) zugreifen kann. 

5 6. Verfahren gemaB Anspruch 5, 
gekennzeichnet durch den Schritt 

Abbildung der Domain-Komponente eines Content Server URLs durch den Session 
Manager (SM) auf die fur die Umleitung reservierte IP-Adresse des stellvertretenden 
Access Router (AR). 

10 

7. Verfahren gemaB Anspruch 6, 
gekennzeichnet durch den Schritt 

Aufrechterhaltung der Umleitung (14) und des damit verbundenen Datenpfades (13) 
wahrend der Laufzeit einer Session, so dass der Client (CI, C2) durch den Access 
15 Router (AR) auf den Content Server (S) zugreifen kann solange ein authorisiertes und 
gedecktes Budget fur ein Ereignis, eine Zeit- und/oder Volumeneinheit existiert. 

8. Verfahren gemaB Anspruch 7, 
gekennzeichnet durch den Schritt 

20 Automatische Deaktivierung der Umleitung (14) und des damit verbundenen Datenpfades 
(13) am Ende der Session, so dass der Client (CI, C2) nicht weiter durch den Access 
Router (AR) auf den Content Server (S) zugreifen kann. 

9. Verfahren nach Anspruch 8, 

25 dadurch gekennzeichnet, dass 

der Session Manager (SM) vor Beendigung der Verbindung den Client (CI, C2) fragt, 
ob er die Session verlangern mochte und ihn auffordert, dafiir zu bezahlen. 

10. Verfahren nach Anspruch 9, 

30 dadurch gekennzeichnet, dass 
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der Session Manager (SM) die Session verlangert ohne die Umleitung zum Content 
Server (S) zu andern und damit den Datenpfad (13) durch den Access Router (AR) offen 
halt, falls der Client (CI, C2) die Verlangerung bezahlt hat. 

5 11. Verfahren nach einem der Anspriiche 2 bis 10, 
dadurch g e ke n n z e i c h n e t , dass 

zur Bezahlung vorausbezahlte Geldinstrumente wie GeldKarte oder Calling Card 
verwendet werden. 

10 12. Verfahren nach einem der Anspriiche 2 bis 11, 
dadurch gekennzeichnet, dass 

zwischen dem Access Router (AR) und dem Content Server (S) ein Server Proxy (SP) 
angeordnet ist, der mehrere Ethernet-Karten aufweist. 

15 13. Computersoftware zur dynamischen Zugriffskontrolle, die wenn sie in einem oder 
mehreren Speichern von Datenverarbeitungseinrichtungen eines Kommunikationsnetzes 
gespeichert ist, dazu ausgelegt ist, die Schritte gemaB einem der Anspriiche 1 bis 12 
durchzufuhren . 

20 14. Vorrichtung zur dynamische Zugriffskontrolle, insbesondere ein Session Manager, 
fur mindestens einen Client eines Datenverarbeitungssy stems, mit einer Einrichtung zur 
Vergabe mindestens einer IP-Adresse fur den mindestens einen Client in Abhangigkeit 
eines vorbestimmbaren Zeitraums und/oder in Abhangigkeit einer vorbestimmbaren 
Bedingung, insbesondere eines Befehls oder eines e-mails. 

25 

15. Vorrichtung gemaB Anspruch 14, 
gekennzeichnet durch 

eine Einrichtung zur Entgegennahme eines durch einen Client (CI, C2) aus einem z.B. 
Internet Protocol basierten Kommunikationsnetz abgesendeten Verbindungsaufbau- 
30 wunsches (SM); und 
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einer Einrichtung zum Anbieten eines Zahlungsmittels an den Client (CI, C2), zur 
Abwicklung durch einen Payment Server (PS). 

16. Vorrichtung gemaB Anspruch 15, 
5 gekennzeichnet durch 

eine Einrichtung zur Bereitstellung und Ubermittlung einer Weisung an einen Access 
Router Manager (ARM) eine dynamische Konfiguration eines Datenpfades (13) oder 
Zugangsrechts auf einem den Datenpfad (13) kontrollierenden Access Router (AR) 
aufzubauen, der den Zugang des Client (CI, C2) zu einem Content Server (S) 
10 ermoglicht. 

17. Vorrichtung gemaB Anspruch 16, 
gekennzeichnet durch 

eine Einrichtung zur Ubertragung der offentlichen EP-Addresse des Content Server (S) 
15 auf IP-Adressen zur Verwaltung durch den Access Router (AR). 

18. Vorrichtung gemaB Anspruch 17 
gekennzeichnet durch 

eine Einrichtung zur automatischen Aktivierung einer Umleitung (11) und des damit 
20 verbundenen Datenpfades (13) am Anfang einer Session, so dass der Client (CI, C2) 
durch den Access Router (AR) auf den Content Server (S) zugreifen kann. 

19. Vorrichtung gemaB Anspruch 18, 
gekennzeichnet durch 

25 eine Einrichtung zur Abbildung der Domain-Komponente eines Content Server URLs auf 
die fur die Umleitung reservierte IP-Adresse des stellvertretenden Access Router (AR). 

20. Vorrichtung gemafl Anspruch 19, 
gekennzeichnet durch 

30 eine Einrichtung zur Aufrechterhaltung der Umleitung (14) und des damit verbundenen 
Datenpfades (13) wahrend der Laufzeit einer Session, so dass der Client (CI, C2) durch 
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den Access Router (AR) auf den Content Server (S) zugreifen kann solange ein 
authorisiertes und gedecktes Budget fur ein Ereignis, eine Zeit- und/oder Volumeneinheit 
existiert. 

5 21. Vorrichtung gemaB Anspruch 20, 
gekennzeichnet durch 

eine Einrichtung zur automatische Deaktivierung der Umleitung (14) und des damit 
verbundenen Datenpfades (13) am Ende der Session, so dass der Client (CI, C2) nicht 
weiter durch den Access Router (AR) auf den Content Server <S) zugreifen kann. 

10 

22. Vorrichtung nach Anspruch 21, 
gekennzeichnet durch 

eine Einrichtung zum Anfragen beim Client (CI, C2) vor Beendigung der Verbindung, 
ob er die Session verlangern mochte und zum Auffordern, dafur zu bezahlen. 

15 

23. Vorrichtung nach Anspruch 22, 
gekennzeichnet durch 

eine Einrichtung zur Verlangerung der Session ohne die Umleitung zum Content Server 
(S) zu andern und damit zum Offenhalten des Datenpfades (13) durch den Access Router 
20 (AR), falls der Client (CI, C2) die Verlangerung bezahlt hat. 
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